木马免杀绝招以及常用的修改方法

概述

在当前网络安全形势下，许多杀毒软件都会对常见的木马进行识别和拦截，因此，黑客们会采用各种方式对木马样本进行修改，以实现免杀的目的。本文将介绍一些常用的木马免杀绝招以及修改方法，帮助读者更好地了解木马免杀技巧。

方法一：代码混淆

策略

代码混淆是指将程序代码进行加密、压缩、重写以及添加虚假代码等方式，使得病毒代码难以被查杀。通过混淆，可以使得病毒样本不易被杀软所识别，同时可以减小样本的大小。

示例

# 混淆前def func():    print("Hello,world.")# 混淆后a = ord('H') << 6b = ord('e') << 6c = ord('l') << 6d = ord('l') << 6e = ord('o') << 6f = ord(',') << 6g = ord('w') << 6h = ord('o') << 6i = ord('r') << 6j = ord('l') << 6k = ord('d') << 6l = ord('.') << 6m = a + b + c + d + e + f + g + h + i + j + k + lexec(chr(m >> 6) + chr(m & 0x3f))

方法二：反调试

策略

通过反调试技术，可以检测代码是否在调试器中运行，并在检测到调试器时停止运行。在常见的反调试技术中，可以使用IsDebuggerPresent函数进行检测调试器是否存在，以及使用PEB结构体中的BeingDebugged字段检测是否正在被调试等。

示例

// 反调试前int main(){    printf("Hello,world.\n");    return 0;}// 反调试后int main(){    if (IsDebuggerPresent()) {        printf("Debugger detected.\n");        return 0;    }    printf("Hello,world.\n");    return 0;}

方法三：虚拟化

策略

虚拟化技术可以将恶意代码嵌入到虚拟机中运行，并使用加密等方式难以被杀软所识别。通过虚拟化，可以隐藏程序的真实行为，增加杀软的检测难度。

示例

# 虚拟化前def func():    print("Hello,world.")# 虚拟化后import base64import marshaldata = base64.b64decode("YwAAAAXzAAAADwAAAGwAAABlAAAAcQEAAEAAAEiAAAAQQAAAHgAAAAAAAAAAABxAgAAbAAAAA==")code = marshal.loads(data)exec(code)

方法四：反射

策略

通过反射技术，可以动态地生成代码并执行，增加恶意代码的多样性，从而增加杀软的检测难度。通过反射，可以动态地生成函数、类等，并且可以加入各种混淆、加密等措施来尽可能的隐藏恶意代码。

示例

# 反射前import osos.system("calc.exe")# 反射后import osfunction_name = "".join([chr(ord(i) - 1) for i in ['d', 'p', 'n', 't', 'z', 't', '(']])function = getattr(os, function_name)parameter = "".join([chr(ord(i) - 1) for i in ['dbmd', '.gf', 'f']])function(parameter)

结论

针对木马免杀，可以采用多种方式进行修改，如代码混淆、反调试、虚拟化和反射等。通过这些技巧的使用，可以增加恶意代码的多样性，并增加杀软的检测难度，从而达到免杀的目的。当然，这些技巧也都有着各自的局限性，需要根据具体情况灵活运用。